Мениджмънт

Изникват хардуерни и софтуерни решения за криптиране в работен режим

CIO Media

Мария Королов, CSO, САЩ 

Криптирането на облачните приложения е уязвимо за разлика от данните„на склад“, които са добре защитени, макар че все още много фирми подценяват ползата от подобни решения. Добре защитена е и информацията, докато се пренася. Какво става обаче с данните, които се използват?

Когато използва данните, облачното приложение трябва да ги „вижда“ в текстов формат. Това означава, че хакер или вътрешен човек с достъп до приложната среда може да ги прочете с лекота. Подобен проблем със сигурността предизвикват програмите Spectre и Meltdown, които откриват уязвимите места на хардуера, позволяващи да бъдат откраднати данни чрез код. По принцип не е забранено една програма да чете информация от друга, но Spectre и Meltdown могат да бъдат използвани от зловреден софтуер за достъп до чувствителна информация, складирана в паметта на други приложения в работен режим, и така са се осъществи неоторизиран достъп до пароли, запазени в password manager или браузъра, имейли, съобщения, дори документи. Meltdown и Spectre работят на персонални компютри, мобилни устройства и в облака. 

Доскоро единственото решение за фирмите беше да стартират приложенията в клиентската среда и да използват облака само за съхранение. Днес вече има няколко технологии, които решават този проблем както от хардуерна, така и от софтуерна гледа точка. Google, Microsoft и IBM имат решения, готови или в процес на разработка, а няколко американски стартъпа са се заели със специфичните случаи. 



Защитени вътрешни сектори в чип
Защитените вътрешни сектори се използват широко в смартфоните за съхранение на важна информация, например за идентификация и плащания. Идеята е, че криптираните данни попадат в защитения сектор, където се декриптират, обработват и повторно се криптират, преди да излязат от него. Тъй като криптирането става хардуерно, то е бързо и сигурно.

Подобна технология съществува и в чиповете, залегнали в облачните приложения, включително тези на Intel, ARM и AMD, наречени защитени работни среди. AMD има своята Secure Execution Environment, а ARM разполага с TrustZone. Тази на Intel се нарича Software Guard Extensions или Intel SGX.

„Вътрешният сектор не е достъпен за системата“, казва Амбуй Кумар, съосновател и изпълнителен директор на Fortanix. „Ако откриете вирус в операционната система, секторът остава защитен. Ако имате злонамерен вътрешен човек с достъп до системата, секторът отново е недостъпен. Дори да сте изправени пред физически нападател, който може да влезе в паметта, криптирането в работен режим не се нарушава, защото вътрешият сектор е вграден в централния процесор.“

Fortanix предлага платформа, позволяваще на инсталираните приложения да получат достъп до защитения вътрешен сектор. „Когато приложението изисква определени данни, те се криптират на парче“, казва той. „Приложението си мисли, че работи с декриптирана информация, защото при нужда данните винаги са на разположение.“

Освен че предлага обща програмна рамка, Fortanix предлага и вградени решения, включително устройство за управление на ключове и продукт за бази данни. На 20 юни 2018 компанията обяви аналитичен продукт, който поддържа приложения, написани на Python и R, най-разпростраенните езици за приложения с изкуствен интелект и машинно обучение. Вече тези програми могат да се обучават в облака, без да се компрометира сигурността, казва Кумар.

Това помага да се преодолеят предизвикателствата, свързани със защитата на личните данни при AI задачи, потвърждава Рик Ешеверия, генерален директор платформена сигурност в Intel.

GeneTank, която преди използваше хомоморфно криптиране - софтуерно базиран подход за сигурност в работен режим, планира да премине към Fortanix. „Fortanix Runtime Encryption поддържа нашата визия за създаването на сигурен и прозрачен пазар за генетични и здравни алгоритми и AI услуги“, казва главният изпълнителен директор на компанията Ан Ким.

Още един от ранните последователи е iExec, компания, която предлага блокчейн базирани облачни решения, целящи да направят AI по-ефективен. Тя ще използва технологията на Fortanix за криптиране в работен режим, за да защити приложенията, вградени в платформата, коментира Лей Жанг, мениджър сигурност и разработки в iExec.

Fortanix са готови да поддържат и други чипсетове, но за момента се фокусира върху Intel SGX, тъй като той е най-напред в технологично отношение и се поддържа от най-много други доставчици. IBM например обяви своята услуга Data Guard миналия декември в партньорство с Fortanix и сега приема записвания за ранен достъп.

Корпорацията смята да предложи първоначална поддръжка за MySQL, Nginx, Forgerock OpenDJ, OpenStack Barbican и menidvyri на софтуерни ключове (key managers), готови да влязат в Docker регистъра на IBM. Освен това бизнес клиентите ще могат да променят приложенията си, като използват набора от инструменти на Fortanix.

Microsoft разполага с конфиденциалното решение Azure и също използва технологията Intel SGX. Миналия месец технологичният гигант обяви процесори Intel Xeon, снабдени с SGX, за своя Azure регион в източните американски щати. От Microsoft твърдят, че работят също и върху инструменти за софтуерна разработка на приложен интерфейс, който да улесни програмистите при използването на Intel SGX хардуера.

Миналия месец в играта се включи и Google с Asylo, рамка с отворен код за разработване на приложения за сигурност, използващи надеждни работни среди, като Intel SGX. Доставчикът на инструменти за сигурност Gemalto на свой ред отделя внимание върху новата технология с решението си SafeNet – облачно базирана услуга за управление на ключове. 

Друга компания, която предлага управлението на ключове като услуга, е Equinix. Също като IBM тя използва Fortanix като основна технология, а първият й голям продукт на пазара, базиран на Intel SGX, се появи миналата есен.

Днес около 60 компании тестват услугата, казва Имам Шейк, главен мениджър продукти за сигурност в Equinix. „Бизнес случаите са различни – някои я използват за криптирани кредитни карти, други – за криптиране на ключове за бази данни.“

Все още нямаме новини от Amazon - дали използва вече Intel SGX, но има време. Очакванията са технологията да става все по-популярна, а криптирането в работен режим да се превърне в нова категория продукти за сигурност.

Защитените вътрешни сектори имат и минуси
Недостатъците на хардуерно базираните защитени вътрешни сектори включват ограничения за количеството данни, което може да се съхранява в сектора, а това може да доведе до забавяне в обработката. Още по-голямо неудобство е, че клиентите, които използват приложения в облака, обикновено не знаят какъв е хардуерът на доставчика на платформата. Проблемът вероятно ще се разреши, когато облачните компании започнат да предлагат програмни среди, които автоматично се настройват към хардуера. 

Освен това защитените вътрешни сектори не предпазват приложенията от грешки. Например, ако някой получи достъп до легитимен сертификат или открие грешка в кода, може да използва приложението, за да стигне до данните. „Няма софтуерно решение, което да ви защити, ако сте написали кода си лошо“, предупреждава Кумар.

Накрая идва и целостта на самите защитени вътрешни сектори. Експерти от Университета на Охайо неотдавна демонстрираха уязвимост на Intel SGX, която нарекоха SgXSpectre. Този недостатък, подобен на Spectre, показва, че „ако кодът на вътрешния сектор бъде повлиян от програми извън него, контролният поток на програмата на сектора може временно да бъде променена, за да изпълни инструкции, водещи до видими промени в кеша.“ С други думи, некриптираните данни в сектора стават четими.

Софтуерно базирани подходи за защитени изчисления в облака

Софтуерно базираните алтернативи на защитения вътрешен сектор са опити да се намерят начини за работа в облака, без да се криптират данните. Има два основни подхода: хомоморфно криптиране и многостранно изчисление.

Хомоморфното криптиране позволява да се извършват изчисленията или търсения без първоначално декриптиране на данните. Недостатъкът му е, че може да бъде много бавно.

Многостранното изчисление разделя алгоритъма на множество части, като използва различни сървъри за обработка на всяка от тях. Нито един от сървърите не разполага с пълните декриптирани данни по което да е време. Според експертите то е по-бързо от първия способ, но не и от хардуерно базираните алтернативи. Забавянето се дължи най-вече на по-голямото комуникационно натоварване.

Компанията Inpher работи и върху двете технологии, като предлага търговски продукт Xor, който използва многостранно изчисление за защита на анализи в облака. Разполага също и с отворена библиотека за хомоморфно криптиране.

Хомоморфният подход е много по-бавен, казва Джордан Брант, съосновател и главен изпълнителен директор на компанията. „Ето защо платеният ни продукт се основава на защитени многостранно изчисления“, пояснява още той.

Inpher доставя набор от конектори към често срещани аналитични платформи и езици като Tensor Flow, Python и R, както и обичайни методи за съхранение на данни като Hadoop клъстери, SQL бази данни и дори текстови файлове. „Не се интересуваме как се съхраняват данните, казва Брант, а управляваме начина, по който се обработват, така че крайният потребител да не се тревожи за сложността на използваното криптиране.“

Сред клиентите са холандската банка ING и френската компания за отбранителни технологии Thales, която от април стана партньор на Inpher, използвайки защитените анализи за прогнозна поддръжка. „Трудно ще намерите компания, която да иска да говори официално за това как използва криптирането в работен режим. Не само защото технологията е много нова, но и защото е трудна за внедряване. И хомоморфното криптиране, и многостранното изчисление е възможно да изискват нова програмна логика. „Не всички приложения могат да се преобразуват за тези видове изчисления“, казва Дейвид Арчър, главен изследовател в консултантската компания за защита на личните данни и криптография Galois.

В резултат повечето от доставчиците предлагат тясно специализирани решения. Например рамката за разкриване на информация с етична защита на Galois (Framework for Information Disclosure with Ethical Security или FIDES) позволява на изследователите достъп до криптирани сетове от данни, без да виждат суровите данни, а само резултатите от заявките, попадащи в забранени параметри.

„Работим с вътрешното министерство на САЩ за въвеждане на контрол на достъпа до данни и поддържането им в криптиран вид по време на ползване. Имаме подобни проекти и с Министерството на отбраната“, коментира Арчър. 

Друг доставчик, Unbound Tech, познат преди като Dyadic Security, предлага сигурен софтуерно базиран мениджър на ключове като алтернатива на хардуерно базираните защитни модули. Той използва многостранно изчисление. „Вместо да държим ключовете в паметта или дори на едно място, ние ги разпределяме в много локации и след това работим с данните, без никога да събираме ключовете заедно“, казва съоснователят на компанията Найджъл Смарт.

Фокусът върху специфично приложение премахва нуждата клиентите да преработват софтуера си, казва той. Unbound планира да разшири дейността си в областта на защитения достъп до бази данни, което е друго често срещано приложение на софтуерно базираното криптиране в работен режим. Обикновено доставчиците в тази сфера предлагат продукт, разположен между новото приложение на клиента и стандартна база данни като SQL.

Ако приложението на клиента разчита изцяло на базата за търсенето и обработката на данните, тогава то може да се възползва от готовите решения за криптиране в работен режим и няма да се налага преправяне. При условие че приложението вади данни от базата и след това прави нещо с тях без вътрешна логика, преминаването към хомоморфно криптиране или многостранно изчисление е много по-трудно. „Няма технология на света, която да вземе дадена програма и просто да я подкара“, казва той. „Тя трябва да се преобразува в криптографския протокол.“

Baffle вече предлага защитен достъп до бази данни, който използва многостранно изчисление. „Вкарваме слой между приложението и базата данни. В действителност не променяме приложението въобще“, коментира главният изпълнителен директор на Baffle Амеш Диватиа.

Предимството при използването на софтуерно базирано криптиране в работен режим вместо решение като Intel SGX е, че то не разчита на специфичен хардуер, и с все по-широкото навлизане на Intel SGX Baffle може да се възползва от него.

Като повечето доставчици в областта Baffle е относително нова компания. Тя обяви поддържката на SQL бази данни преди година, а на AWS и Azure – миналата есен. През юни представи функционалност за търсене със заместващи символи. Компанията има клиенти във финансовите услуги и здравеопазването, които са на различен етап от внедряването, коментира Диватиа.

Един от основните конкуренти на Baffle е Enveil, която идва от военния сектор. Компанията, основана през 2016, твърди, че е намерила тайна стратегия, която прави хомоморфното криптиране по-бързо. „Имахме голям успех във федералното правителство и го сертифицирахме за държавно ползване“, казва главният изпълнителен директор на Enveil Елисън Ан Уилямс. „Наистина предлагаме практическо хомоморфно криптиране. И го направихме лесно за ползване при всякакъв вид приложения, така че да не трябва да променяте потребителското си преживяване и това как съхранявате данните си или дори как ги криптирате.“

Уилямс коментира още, че Enveil осигурява данни за сравнителен анализ (benchmarking data) на клиентите за всеки случай поотделно, но не го прави обществено достояние. Технологията може да се използва за широк набор от приложения, казва Уилямс. „Но виждаме, че повечето хора правят търсения и анализи.“

Доставчици на софтуерно базирани решения за криптиране в работен режим
Списъкът на компаниите, които предлагат софтуерни продукти и услуги за криптиране в работен режим, расте. Ето кои доставчици намерихме:

Baffle: Многостранно изчисление за защитен достъп до бази данни
Duality: Хомоморфно криптиране за облачно базирани анализи
Enveil: Хомоморфно криптиране за облачно базирани анализи и търсения, като и хардуерно базирани вътрешни сектори, основани на Intel SGX
Inpher: Многостранно изчисление за анализи, както и отворена библиотека за хомоморфно криптиране
Partisia: Многостранно изчисление за онлайн търгове
Sepior: Многостранно изчисление за управление на ключове
Sharemind: Многостранно изчисление за засичане на измами
UnBound: Многостранно изчисление за управление на ключове 
CryptoExperts: Консултантска компания, специализирана в проекти за хомоморфно криптиране
Galois: Консултантска компания, специализирана в проекти за многостранно изчисление

Криптирането в работен режим – отрасъл или функционалност
Не всяка компания ще иска да използва криптиране в работен режим, казва Гарет Бекер, анализатор в 451 Research: „То налага някои компромиси. Може да повреди приложения или функционалности.“

Но за SaaS доставчиците криптирането в работен режим е полезна функционалност, която да предлагат на заинтересованите клиенти. Технологията може би има повече смисъл като функционалност, предлагана от големите доставчици на облачни платформи или киберсигурност. Бекер очаква много поглъщания, след като се финализира сливането на гигантите Gemalto и Thales.

Междувременно преди криптирането в работен режим пред компаниите стоят за решаване много други проблеми със сигурността. А от страна на крайния потребител още няма търсене на такива продукти. 

Превод и редакция Юлия Уршева


X